【密码学实战】openHiTLS genrsa命令行：RSA私钥生成专属工具

原创 已于 2025-10-02 15:54:01 修改 · 703 阅读 · 18 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#RSA #私钥 #SM2 #SM4 #AES #密钥轮换

于 2025-10-02 11:46:34 首次发布

hitls genrsa 是 openHiTLS 加密工具集的核心子命令，专门用于生成 RSA 非对称密钥对（私钥为主，公钥内嵌于私钥文件）。所有功能围绕 “合规性” 与 “安全性” 设计，需通过 hitls 主程序调用，以下为精简实用的完整指南

一、工具核心概述

1. 定位与核心能力

hitls genrsa 不是独立工具，而是 openHiTLS 工具集的 “密钥生成模块”，核心能力聚焦两点：

  • 生成指定长度的 RSA 密钥对（仅支持 1024/2048/3072/4096 位）；
  • 用对称算法 + 密码加密私钥（仅输出 PKCS8 加密 PEM 格式，不支持裸私钥）。

二、基本语法

1. 完整命令格式

hitls genrsa [选项] <RSA密钥长度>  # 密钥长度必须在最后，选项顺序可调整

2. 命令构成说明

组成部分作用示例值
hitls主程序入口（固定）无
genrsa子命令（固定）无
[选项]配置项（如输出路径）--cipher sm4-cbc
<密钥长度>必填尾部参数2048/4096

3. 语法注意事项

  • 选项区分大小写：仅支持小写（如 --help 而非 --Help），大写会报 “未知选项”；
  • 空格分隔：选项与值之间必须用空格（如 --cipher aes128-cbc 不可写 --cipher=aes128-cbc）；
  • 路径格式：Windows 下支持 ./keys/priv.pem 或 .\keys\priv.pem，Linux 仅支持 / 分隔。

三、选项详细说明

hitls genrsa 仅支持 3 个核心选项，无隐藏功能，以下为完整说明：

选项名数据类型功能说明是否必填关键使用注意点
--help无参数输出帮助信息（含支持的算法、密钥长度），执行后退出，不生成密钥。否首次使用建议先执行 hitls genrsa --help，确认本地工具参数与文档一致。
--cipher字符串（算法名）指定加密私钥的对称算法，需从预设列表选择）。是1. 国密场景选 sm4-cbc/sm4-xts；2. 跨平台场景选 aes256-cbc/aes128-cbc；3. 输入错误会自动打印支持列表。
--out字符串（文件路径）指定私钥输出路径，默认输出到终端（stdout）。否1. 路径长度≤4096 字符（超长报错）；2. 已存在文件会直接覆盖（需提前备份）；3. 父目录需有写入权限（否则报 “Failed to set outfile mode”）。

四、关键参数范围（必看）

1. 支持的对称加密算法（--cipher 可选值）

工具仅支持 15 种算法，分 AES 与 SM4 系列，按场景分类如下：

算法系列支持的完整算法名适用场景
AES 系列aes128-cbc、aes192-cbc、aes256-cbc跨平台兼容（如 Linux/Windows 交互）
AES 系列aes128-cfb、aes192-cfb、aes256-cfb低延迟场景（如实时加密）
AES 系列aes128-ofb、aes192-ofb、aes256-ofb抗 IV 重用风险
AES 系列aes128-xts、aes256-xts块设备存储（如 SSD 私钥文件）
SM4 系列sm4-cbc、sm4-cfb、sm4-ofb、sm4-xts国密合规场景（政务、金融）

2. RSA 密钥长度选择指南（尾部参数）

密钥长度直接影响安全与性能，仅支持 4 个固定值，场景适配如下：

支持长度安全级别性能消耗（相对值）推荐场景不推荐场景
1024弱安全（仅测试用）1x（最快）功能验证、临时演示环境生产环境、敏感数据加密
2048中安全（NIST 推荐至 2030）3x（较慢）常规生产（Web 服务 HTTPS、API 签名）超高安全需求（如金融核心交易）
3072高安全（NIST 推荐至 2050）8x（慢）敏感场景（金融转账、政务数据）高并发场景（如秒杀活动）
4096极高安全（抗量子潜力）20x（最慢）核心密钥（CA 根证书、KMS 系统）资源受限设备（嵌入式终端）

3. 密码隐性规则

工具通过 HITLS_APP_CheckPasswd 校验密码，不满足会报错退出，规则如下：

  • 长度：≥8 位（最大 64 位）；
  • 复杂度：至少含 2 种字符类型（如字母 + 数字、字母 + 特殊符号）；
  • 输入方式：终端隐藏输入（不显示字符，避免偷窥）。

五、典型使用示例（可直接复制）

以下示例覆盖 “测试、生产、合规、管道传递” 四大核心场景，复制后可直接执行。

示例 1：测试场景（1024 位密钥，临时文件）

场景：验证工具可用性，生成临时测试私钥，用完可删除。

# 1. 创建临时目录（避免污染当前目录）
mkdir -p ./tmp_test && cd ./tmp_test
# 2. 生成 1024 位私钥，aes128-cbc 加密，输出到 test_rsa.pem
hitls genrsa --cipher aes128-cbc --out test_rsa.pem 1024
# 3. 输入密码（示例：Test@1234，按提示输入）
# 4. 验证生成结果（查看文件是否存在）
ls -l test_rsa.pem
# 5. 测试完成后清理（可选）
cd .. && rm -rf ./tmp_test

示例 2：生产场景（2048 位密钥，安全存储）

场景：为 Web 服务生成 HTTPS 私钥，存储到专用目录并控制权限。

# 1. 创建密钥专用目录（权限 700，仅所有者可访问）
mkdir -p /etc/hitls/keys && chmod 700 /etc/hitls/keys
# 2. 生成 2048 位私钥，aes256-cbc 加密，输出到安全路径
hitls genrsa --cipher aes256-cbc --out /etc/hitls/keys/web_rsa.pem 2048
# 3. 输入高强度密码（示例：WebRsa@2024!，建议存密码管理器）
# 4. 设置私钥权限（600，仅所有者可读写）
chmod 600 /etc/hitls/keys/web_rsa.pem
# 5. 验证权限与格式
ls -l /etc/hitls/keys/web_rsa.pem  # 应显示 -rw-------
file /etc/hitls/keys/web_rsa.pem   # 应显示“PEM encrypted private key”

示例 3：国密合规场景（3072 位密钥，SM4 加密）

场景：政务系统生成符合国密标准的私钥，用于电子公文加密。

# 1. 创建合规目录（如 /opt/gov_secure，需提前授权）
mkdir -p /opt/gov_secure && chmod 700 /opt/gov_secure
# 2. 生成 3072 位私钥，sm4-cbc 加密，输出到合规路径
hitls genrsa --cipher sm4-cbc --out /opt/gov_secure/rsa_gov.pem 3072
# 3. 输入密码（需符合政务规范，如长度≥12位：GovRsa@2024!#）
# 4. 验证算法合规性（后续可提取公钥用于公文加密）
hitls rsa -in /opt/gov_secure/rsa_gov.pem -pubout -out /opt/gov_secure/rsa_gov_pub.pem

示例 4：管道传递（不落地存储私钥）

场景：生成私钥后直接提取公钥，避免私钥文件落地，提升安全性。

# 生成 2048 位私钥（输出到 stdout），管道传递给 hitls rsa 提取公钥
hitls genrsa --cipher aes128-cbc 2048 | hitls rsa -pubout --out rsa_pub.pem
# 输入私钥密码（用于解密私钥以提取公钥）
# 验证公钥（查看公钥格式）
cat rsa_pub.pem  # 应显示“-----BEGIN PUBLIC KEY-----”

六、常见错误与排查（快速解决）

1. 命令路径错误：genrsa: command not found

  • 原因：未加 hitls 前缀，或 hitls 未安装 / 未在 PATH 中。
  • 解决：
    1. 确认命令格式：必须写 hitls genrsa，而非单独 genrsa；
    2. 检查 hitls 安装：执行 which hitls，无输出则重新安装 openHiTLS。

2. 密钥长度错误：The RSA key length is error...

  • 原因：尾部参数不在 1024/2048/3072/4096 范围内（如输入 1536）。
  • 解决：
    1. 修正尾部参数为 4 个支持值之一；
    2. 执行 hitls genrsa --help 确认支持的长度列表。

3. 文件 IO 错误：Failed to set outfile mode.

  • 原因：路径不存在、无写入权限或磁盘空间不足。
  • 解决：
    1. 检查路径是否存在：如 ls -d /opt/keys，不存在则执行 mkdir -p /opt/keys；
    2. 检查权限：如 ls -ld /opt/keys，确保当前用户有 w 权限（可临时加权限：chmod +w /opt/keys）；
    3. 检查磁盘空间：执行 df -h，确保剩余空间≥10KB（私钥文件很小）。

4. 加密模块错误：Encode failed.

  • 原因：系统熵源不足（随机数生成失败）。
  • 解决：
    1. 检查熵源：执行 cat /proc/sys/kernel/random/entropy_avail，值＜100 需补充；
    2. 临时补充熵源：执行 cat /dev/urandom > /dev/random &（后台运行，不影响其他操作）；
    3. 永久补充：安装 rng-tools（CentOS：yum install rng-tools；Ubuntu：apt install rng-tools），安装后启动服务：systemctl start rngd。

5. 密码错误：password error

  • 原因：密码长度＜8 位或复杂度不足（未通过 HITLS_APP_CheckPasswd 校验）。
  • 解决：
    1. 确保密码长度≥8 位；
    2. 增加复杂度：如 RsaPass@2024（字母 + 数字 + 特殊符号）；
    3. 重新输入时避免空格或不可见字符。

七、安全最佳实践（精简版）

1. 私钥存储与备份

  • 密码单独存：加密私钥的密码不要与私钥文件存在同一位置，建议用硬件密码管理器存储；
  • 加密备份：私钥备份时需加密（如 zip -e rsa_backup.zip rsa.pem），备份至少 2 份，存不同物理位置；
  • 权限控制：私钥文件权限固定为 600（chmod 600 rsa.pem），目录权限固定为 700（chmod 700 /etc/hitls/keys）。

2. 密钥生命周期管理

  • 定期轮换：生产环境私钥每 1-2 年轮换一次（用 hitls genrsa 生成新密钥，替换旧密钥后销毁旧密钥）；
  • 安全销毁：旧私钥用 shred -u rsa_old.pem 彻底删除（多次覆盖内容，防止恢复），备份介质同步销毁。

3. 性能优化（针对 3072/4096 位密钥）

  • 提前补熵：生成高长度密钥前，先执行 rngd -r /dev/urandom 填充熵源，缩短生成时间；
  • 错峰执行：3072/4096 位密钥生成耗 CPU（持续 3-20 秒），建议在系统低负载时段（如凌晨）执行。

八、常用关联命令（后续操作）

生成私钥后，常用 openHiTLS 命令如下，可直接复制使用：

需求关联命令
提取公钥hitls rsa -in /etc/hitls/keys/web_rsa.pem -pubout -out web_rsa_pub.pem
用私钥签名文件hitls sign -in data.txt -out data.sig -key web_rsa.pem -alg sha256
用公钥验证签名hitls verify -in data.txt -sig data.sig -key web_rsa_pub.pem -alg sha256

免费下载openHiTLS

 1、下载相关代码

2、构建安装，在openHiTLS根路径下执行以下命令：

mkdir build
cd build
cmake ..
make && make install
openssl命令行：RSA的用法-- 终极版
baron-周贺贺-代码改变世界ctw
09-10 524
这条与TA中的TEE_ALG_RSASSA_PKCS1_PSS_MGF1_SHA256 算法对应。4、基于 PKCS1v2.0 OAEP encryption padding的加密、解密。3、基于 PKCS1v2.1 PSS signature Pending的 签名、验签。3、基于 PKCS1v1.5 Pending的 签名、验签、加密、解密。这条也属于RSA PSS算法，但在TA中找不到与之对应的flag。
图文详解 RSA - 原理、特点（加解密及签名验签）及公钥和私钥的生成
Jack章臣的博客
03-20 3257
Wiki - RSA加密演算法Wiki - 欧拉函数Wiki - 模反元素ASN.1 格式标准RSA算法原理（二） 注意： RSA 加密或签名后的结果是不可读的二进制，使用时经常会转为 BASE64 码再传输。 RSA 加密时，对要加密数据的大小有限制，最大不大于密钥长度。例如在使用 1024 bit 的密钥时（genrsa -out rsa_private_key.pem 1024），最大可...
Openssl子命令 genrsa, rsa, req, x509命令详解
t990423909的专栏
10-18 7219
openssl 是目前最流行的 SSL 密码库工具，其提供了一个通用、健壮、功能完备的工具套件，用以支持SSL/TLS 协议的实现。 genrsa、rsa、req、x509子命令主要用于RSA密钥的生成和处理，以及证书的申请和制作。 一、genrsa子命令 用途 genrsa子命令主要用于生成RSA私钥。 命令行格式： openssl genrsa [args] [numbits] 选项 -des 使用des cbc模式对私钥文件进行加密。 -des3 使用des3 cbc模式对私钥文件进行
5-OpenSSL命令行之genrsa/rsa生成公私钥
weixin_40332490的博客
01-19 1658
而上面的内容就是pkcs8比pkcs1多的内容。其实最主要的就是算法信息，这也是pkcs8能存储各种算法私钥的原因。我们先将两个PEM格式的文件转换为DER格式，这个二进制的数据容易做对比。此时如果从后往前看的话，其实可以发现PKCS8仅比PKCS1多了一个26自己的头，剩余的内容均完全一致。opensslgenrsa命令用于生成rsa私钥，不会生成公钥，因为公钥提取自私钥。③check检测私钥文件的一致性，查看私钥文件被修改过。②创建一个加密的私钥文件，然后从此文件输出公钥至文件。
【ssl认证、证书】openssl genrsa 命令详解、生成和查看密钥内容
m0_45406092的博客
02-09 5693
ssl
openssl ---公钥、私钥、证书详解以及genrsa和rsa命令详解
qq_41768644的博客
07-24 2274
openssl genrsa openssl rsa详解 openssl 公钥 私钥 详解
linux中常用的加密总结--Openssl加解密与签名验证--genrsa/rsa/rsautl
lzq00277的博客
03-06 2729
linux中常用的加密总结–openssl加解密 官方语法： openssl enc -ciphername [-in filename] [-out filename] [-pass arg] [-e] [-d] [-a/-base64] [-A] [-k password] [-kfile filename] [-K key] [-iv IV] [-S salt] [-salt] [-nosalt] [-z] [-md] [-p] [-P] [-bufsize number] [-nopad] [-d
8、密码学安全与块密码：原理、生成与保护
neovim7hacker的博客
07-05 88
本文详细介绍了密码学安全的基本概念，包括密钥的生成与保护方法，以及块密码的原理和构造方式。重点探讨了高级加密标准（AES）的工作机制及其安全性，并分析了常见的攻击方法如中间人攻击和填充预言攻击。最后提供了在实际应用中如何选择合适的加密算法和防范策略的建议，旨在帮助读者更好地理解和应用密码学技术以保障信息安全。
openssl-0.9.8k_WIN32(RSA密钥生成工具)
06-15
6. **命令行使用**：了解如何在命令行中使用OpenSSL生成RSA密钥对，例如`openssl genrsa -out private.key 2048` 生成私钥，`openssl rsa -pubout -in private.key -out public.key` 生成公钥。 7. **密钥管理**：...
OpenSSL命令指南：RSA密钥生成与格式转换
以下是使用OpenSSL工具生成RSA密钥的详细步骤。 #### 生成RSA私钥 ```sh openssl> genrsa -out rsa_private_key.pem 1024 ``` 这个命令用于生成一个1024位的RSA私钥，并将输出保存到文件`rsa_private_key.pem`中。...
RSA密钥生成
nie19940803的博客
02-27 5957
本博客以mbedtls crypto库为参考介绍RSA密钥对的生成过程。主要可以分为两部分，第一部分是寻找质数和，第二部分是根据和计算公钥和私钥，如下所示生成RSA密钥对的函数。 /* * Generate an RSA keypair * * This generation method follows the RSA key pair generation procedure of ...
openHiTLS跨平台支持：Linux/Windows/嵌入式系统适配
gitblog_00792的博客
08-30 733
在当今多样化的计算环境中，密码学和安全通信技术需要在各种硬件平台和操作系统上无缝运行。无论是云端服务器、桌面应用还是嵌入式设备，安全通信都是不可或缺的基础设施。openHiTLS作为一款先进的密码套件和传输层安全协议实现，其跨平台支持能力直接决定了它在实际应用中的价值和适用范围。 本文将深入探讨openHiTLS在Linux、Windows以及嵌入式系统上的适配策略、构建方法和最佳实践，帮助开发...
(3) openssl genrsa(生成rsa私钥)
nb1253587023的博客
08-18 1946
a
OpenSSL命令---genrsa
VitalityShow(网络通讯)
11-07 9672
RSA密钥产生工具
使用ssh-keygen生成私钥和公钥
热门推荐
傲雪星枫
08-07 10万+
使用ssh-keygen生成私钥和公钥命令如下：ssh-keygen -t rsa,参数 -t rsa 表示使用rsa算法进行加密，执行后，会在/home/当前用户/.ssh目录下找到id_rsa(私钥)和id_rsa.pub(公钥),也可以使用 dsa加密算法进行加密。
RSA公钥私钥的加解密详细代码
qq_33007465的博客
03-12 3236
第一步：在本地安装OpenSSL（安装步骤省略），打开/bin目录下的openssl.exe文件。输入一下命令。 1.生成RSA私钥 genrsa -out rsa_private_key.pem 1024 2.把RSA私钥转换成PKCS8格式 pkcs8 -topk8 -inform PEM -in rsa_private_key.pem -outform PEM -nocrypt 3.生成公钥 rsa -in rsa_private_key.pem -pubout -out rsa_public_key
OpenSSL命令之：---genrsa
每天多一分钟学习，生命就多一份精彩
02-27 1356
用途：生成RSA私有密钥的工具。用法：openssl genrsa [-out filename] [-passout arg] [-f4] [-3] [-rand file(s)] [-engine id] [numbits] [-des] [-des3] [-idea] 选项说明：-out filename：私有密钥输出文件名，缺省为标准输出。-passout arg：输出文件口令保护存放方
本教程用作于校园跑刷跑，适用于除了部分不提供bl锁的手机类型（如vivo）
最新发布
12-18
根据原作 https://pan.quark.cn/s/801a2ca3e47c 的源码改编 前言 本教程用作于校园跑刷跑，适用于除了部分不提供bl锁的手机类型（如vivo） 需要下载FakeLocation以及刷入面具 具体方法会在md文件中说明
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值